💻 computer science

State Machine Guided Multi-Relational Synthetic Data from Logs for Anomaly Detection

Dieses Paper schlägt ein Framework vor, das einen latenten Zustandsautomaten aus Software-Logs rekonstruiert, um multirelationale synthetische Daten zu generieren, was die Leistungsfähigkeit bei der Anomalie- und Fehlererkennung signifikant verbessert, indem es strukturelle, zeitliche und prozessuale Nebenbedingungen bewahrt, die von sequenzbasierten Methoden vernachlässigt werden.

Ursprüngliche Autoren: Aja Khanal, Apurva Narayan

Veröffentlicht 2026-06-02

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Aja Khanal, Apurva Narayan

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich ein massives Softwaresystem wie eine riesige, geschäftige Fabrik vor. Jedes Mal, wenn eine Maschine startet, stoppt oder ein Geräusch macht, schreibt sie eine Notiz in ein riesiges, unordentliches Logbuch. Diese Notizen sind die „Logs“, von denen der Text spricht.

Das Problem: Das unordentliche Logbuch
Derzeit versuchen Informatiker, wenn sie Fehler (Anomalien) in diesen Fabriken suchen, das Logbuch wie eine einfache Liste von Wörtern zu behandeln. Sie betrachten die Abfolge der Notizen: „Maschine A gestartet“, „Maschine B summte“, „Maschine C gestoppt“.

Die Autoren argumentieren, dass dies so ist, als würde man versuchen, ein komplexes Theaterstück zu verstehen, indem man nur die Liste der gesprochenen Wörter liest, ohne das Drehbuch, die Charaktere oder die Regeln der Bühne zu kennen. In Wirklich_keit folgen diese Logs einem verborgenen Skript (einer State Machine bzw. Zustandsautomaten). Die Fabrik macht nicht einfach zufällige Geräusche; sie bewegt sich durch spezifische „Zustände“ (wie „Leerlauf“, „Arbeit“, „Fehler“, „Wiederherstellung“) und folgt strengen Regeln darüber, was als Nächstes passieren kann.

Bestehende Methoden übersehen dieses verborgene Skript. Sie versuchen zu erraten, was schiefgelaufen ist, indem sie die Reihenfolge der Wörter betrachten, und übersehen dabei oft die tiefer liegenden strukturellen Gründe für einen Ausfall.

Die Lösung: LogSynthFSM (Der smarte Fabrikmanager)
Das Paper stellt ein neues System namens LogSynthFSM vor. Stellen Sie sich dies als ein Team von spezialisierten KI-Detektiven vor, die zusammenarbeiten, um das Rätsel der Fabrik-Logs zu lösen. Anstatt eines einzelnen KI-Agenten, der versucht, alles auf einmal zu erledigen, verwenden sie einen „Multi-Agenten-Ansatz“, bei dem jeder Agent eine spezifische Aufgabe hat:

Der Übersetzer (Execution Parsing Agent): Zuerst liest dieser Agent das unordentliche, rohe Logbuch und bereinigt es. Er verwandelt chaotische Sätze in ordentliche, strukturierte Karten mit klaren Beschriftungen (wie „Zeit“, „Ereignistyp“, „Details“).
Der Drehbuchautor (State Discovery Agent): Dieser Agent betrachtet die bereinigten Karten und findet das verborgene Skript heraus. Er fragt: „Was sind die verschiedenen ‚Stimmungen‘ oder ‚Zustände‘, durch die die Fabrik geht? Welche Regeln bestimmen den Übergang von ‚Arbeit‘ zu ‚Defekt‘?“ Er erstellt eine Karte der Logik der Fabrik.
Der Architekt (Schema Induction Agent): Sobald das Skript bekannt ist, entwirft dieser Agent ein neues Ablagesystem (eine relationale Datenbank). Anstatt einer einzigen langen Liste organisiert er die Daten in verknüpften Tabellen: eine für die Zeitachse, eine für die Ereignisse, eine für die Zustände und eine für die Details. Dies stellt sicher, dass die Daten logisch organisiert sind, genau wie eine echte Datenbank.
Der Geschichtenerzähler (Relational Synthesis Agent): Dies ist der magische Teil. Die Fabrik hat nicht immer genug Beispiele für seltene Probleme (wie eine spezifische Art von Absturz). Um dies zu beheben, nutzt der Geschichtenerzähler das Skript und das Ablagesystem, um neue, realistische Geschichten zu erfinden. Er kopiert nicht einfach alte Logs; er generiert neue Szenarien, die den Regeln des Skripts folgen. Entscheidend ist, dass er sich darauf konzentriert, mehr Beispiele für jene seltenen, kniffligen Fehler zu erstellen, damit der Computer lernen kann, sie zu erkennen.
Der Qualitätsprüfer (Consistency Evaluation Agent): Bevor die neuen Geschichten akzeptiert werden, prüft dieser Agent sie. „Hat diese neue Geschichte das Skript befolgt? Ist die Zeitachse logisch? Sieht es wie ein echtes Fabrikereignis aus?“ Wenn eine Geschichte gegen die Regeln verstößt, wird sie aussortiert. Dies stellt sicher, dass die künstlichen Daten qualitativ hochwertig und vertrauenswürdig sind.

Das Ergebnis: Bessere Sicherheitsprüfungen
Das Paper zeigt, dass es viel besser funktioniert, wenn man einen Computer darauf trainiert, Fabrikfehler zu erkennen, wenn man diese neue, strukturierte, KI-generierte Daten verwendet.

Analogie: Stellen Sie sich vor, Sie bringen einem Sicherheitsmann bei, einen Dieb zu erkennen. Wenn Sie ihm nur 10 Fotos von Dieben zeigen, erkennt er vielleicht einen neuen Typ von Dieb nicht. Aber wenn Sie ein smartes System haben, das die Regeln versteht, wie sich Diebe bewegen (das Skript), kann es hunderte neuer, realistischer Fotos von verschiedenen Arten von Dieben (einschließlich seltener Fälle) generieren, damit der Wachmann sie studieren kann. Der Wachmann wird viel besser darin sein, sie zu fangen.

Wichtige Erkenntnisse aus dem Paper:

Struktur ist entscheidend: Logs sind nicht nur zufällige Wörter; sie folgen einer verborgenen State Machine (einem Skript).
Multi-Agenten-Team: Die Aufteilung der Aufgabe in kleine, spezialisierte KI-Rollen funktioniert besser als eine einzige große KI, die versucht, alles zu erledigen.
Smarte Synthese: Das System generiert neue Daten, die die Regeln des Systems respektieren, was es nützlich macht, um Trainingsdaten für Anomalie-Detektoren zu erstellen.
Praxisbeweis: Die Autoren testeten dies mit echten Daten aus großen Systemen (wie Hadoop und OpenStack) und fanden heraus, dass es die Fähigkeit, Bugs und seltene Fehler zu erkennen, im Vergleich zu älteren Methoden signifikant verbesserte.

Kurz gesagt: LogSynthFSM verwandelt einen unordentlichen Haufen von Notizen in ein strukturiertes, regelbasiertes Geschichtsbuch, nutzt dieses Geschichtsbuch, um neue Trainingsbeispiele für seltene Probleme zu erfinden, und hilft Computern dabei, viel besser zu erkennen, wenn in komplexen Softwaresystemen etwas schiefläuft.

Technisches Resümee: Zustandsautomaten-gestützte multi-relationale synthetische Daten aus Protokollen zur Anomalieerkennung

Problemformulierung

Moderne Softwaresysteme erzeugen massive Mengen unstrukturierter Ausführungsprotokolle (Logs), die Verhalten, Fehler und die Interaktion von Komponenten aufzeichnen. Obwohl diese Protokolle zentral für die Anomalieerkennung sind, behandeln bestehende Methoden sie überwiegend als flache Sequenzen von Ereignis-Templates. Dieser Ansatz übersieht die latente relationale Ausführungsstruktur – den Kontrollfluss, die Zustandsübergänge und die Abhängigkeiten zwischen Parametern, Ressourcen und Komponenten –, welche die Entwicklung der Ausführungen steuert.

Aktuelle Techniken zur Protokollsynthese und -augmentation operieren oft auf Template- oder Sequenzebene und missachten dabei die zugrunde liegende Ausführungsemantik. Infolgedessen produzieren sie häufig unrealistische oder strukturell ungültige Spuren (Traces), die sich nicht auf komplexe Fehlermodi generalisieren lassen. Darüber hinaus zeigen Large Language Models (LLMs) zwar Potenzial beim Verständnis unstrukturierter Texte, die Anwendung auf LLMs in einem Single-Pass-Verfahren ist jedoch aufgrund von Kontextfenster-Beschränkungen, mangelnder struktureller Garantien und der Anfälligkeit für Halluzinationen bei der Generierung komplexer Ausführungspuren unzureichend. Die zentrale Herausforderung besteht in der gemeinsamen Entdeckung der latenten Ausführungsstruktur aus Rohprotokollen und der Nutzung dieser Struktur zur prinzipiengetreuen Generierung multi-relationaler synthetischer Daten.

Methodik: LogSynthFSM

Die Autoren schlagen LogSynthFSM vor, ein koordiniertes Multi-Agenten-LLM-Framework, das darauf ausgelegt ist, latente Ausführungsstrukturen zu entdecken und multi-relationale synthetische Daten zu generieren. Das System zerlegt die Syntheseaufgabe in spezialisierte Agenten, die in einer geschlossenen Pipeline operieren:

Execution Parsing Agent: Wandelt unstrukturierte Rohprotokolle in strukturierte Ereignisrepräsentationen ( $e_i = (t_i, \theta_i, \tau_i)$ ) um, indem es Templates, Parameter und Zeitstempel extrahiert. Dies dient als Kompressionsoperator, um lexisches Rauschen zu reduzieren und die Kontextbeschränkungen des LLMs zu mildern.
State Discovery Agent: Leitet einen latenten endlichen Zustandsautomaten (FSM) ( $F = (S, A, \delta)$ ) aus den strukturierten Ereignissequenzen ab. Er gruppiert Ereignisse in Zustände, sodass die resultierende Sequenz die Markov-Eigenschaft erfüllt, wobei ein Gleichgewicht zwischen Ausdrucksstärke und Identifizierbarkeit gewahrt wird, um den die Ausführung steuernden Kontrollfluss wiederherzustellen.
Schema Induction Agent: Transformiert den abgeleiteten FSM in ein explizites multi-tabeliges relationales Schema ( $R$ ). Dieses Schema umfasst Tabellen für Spuren (Traces), Ereignisse, Zustände, Übergänge und Parameter, die durch Primär- und Fremdschlüssel-Constraints verbunden sind. Diese Faktorisierung trennt den Kontrollfluss von zustandsbedingten Attributen und gewährleistet so strukturelle Treue.
Relational Synthesis Agent: Generiert synthetische relationale Daten, indem er gültige Pfade durch den abgeleiteten FSM sampelt und Ereignis-/Parameterdatensätze abhängig von zustandsspezifischen Verteilungen synthetisiert. Dieser Agent verstärkt seltene, aber gültige Ausführungsverhaltensweisen, während er sich strikt an die strukturellen und zeitlichen Constraints des FSM hält.
Consistency Evaluation Agent: Bewertet die generierten Daten anhand von drei Dimensionen:
- Strukturelle Konsistenz: Überprüft Schema-Constraints (Keys, Ordnung, gültige Übergänge).
- Prozess-Konsistenz: Stellt sicher, dass die Ausführungen korrekten FSM-Traversierungen entsprechen.
- Distributionale Konsistenz: Vergleicht Attributverteilungen mit Realdaten, um Drift zu erkennen.
  Dieses Agent bietet Feedback zur iterativen Verfeinerung und filtert ungültige oder halluzinierte Ausgaben heraus.

Das Framework operiert als iterativer Loop, in dem der Consistency Evaluation Agent Batches synthetischer Daten gegen den abgeleiteten FSM und das Schema validiert, um sicherzustellen, dass nur strukturell valide und distributionale realistische Daten für die nachgelagerte Verwendung beibehalten werden.

Zentrale Beiträge

Entdeckung latenter Strukturen: Die Arbeit zeigt, dass Ausführungsprotokolle implizit eine relationale Datenbank kodieren, die von einem latenten Zustandsautomaten gesteuert wird, welcher direkt aus den Rohprotokollen ohne Vorwissen über die Systemarchitektur rekonstruiert werden kann.
Multi-Agenten-Framework: Es führt eine neuartige Multi-Agenten-Architektur ein, die die komplexe Aufgabe der Protokollsynthese in verifizierbare Phasen (Parsing, Zustandsentdeckung, Schema-Induktion, Synthese und Evaluation) zerlegt und so die Einschränkungen der Single-Pass-LLM-Generierung überwindet.
Relationale synthetische Daten: Im Gegensatz zur sequenzbasierten Augmentation generiert LogSynthFSM multi-tabelige relationale Daten, die globale Prozesssemantik, zeitliche Ordnung und Entitätsabhängigkeiten bewahren.
Constraint-bewusste Generierung: Durch die Nutzung des rekonstruierten FSM als generativen Prior stellt das Framework sicher, dass die synthetischen Daten strikten Ausführungsbeschränkungen folgen, was die Erstellung semantisch inkohärenter Spuren verhindert.

Experimentelle Ergebnisse

Das Framework wurde auf vier realen Systemprotokoll-Datensätzen (BGL, Thunderbird, Hadoop, OpenStack) unter Verwendung eines Graph Neural Networks (GNN) für die nachgelagerte Anomalieerkennung evaluiert.

Leistung der Anomalieerkennung: LogSynthFSM erreichte einen PR-AUC von 0,742 und übertraf damit den stärksten LLM-basierten Baseline-Ansatz (GraphMaster mit 0,701) sowie klassische Augmentationsmethoden.
Erkennung seltener Ereignisse: Die Methode verbesserte die Erkennung seltener Verhaltensweisen signifikant und steigerte den Rare PR-AUC von 0,438 (GraphMaster) auf 0,511.
Strukturelle Treue:
- Transition Validity Rate (TVR): 0,985, was bedeutet, dass 98,5 % der synthetischen Übergänge gemäß dem abgeleiteten FSM gültig waren.
- Distributionale Ähnlichkeit: Die $k$ -Gram-Pfad Jensen–Shannon-Divergenz wurde auf 0,091 reduziert (im Vergleich zu 0,137 bei GraphMaster), was eine engere Übereinstimmung mit den realen Ausführungsdynamiken zeigt.
- Ununterscheidbarkeit: Der Classifier Two-Sample Test (C2ST) AUC lag bei 0,503 (nahe am Idealwert von 0,50), was darauf hindeutet, dass synthetische Spuren schwer von realen zu unterscheiden sind.
Ablationsstudien: Das Entfernen des State Discovery Agents verursachte den schwerwiegendsten Leistungsabfall (Rare PR-AUC sank auf 0,341), was bestätigt, dass die explizite Zustandsmodellierung essenziell ist. Auch das Entfernen des Consistency Evaluation Agents reduzierte den PR-AUC (auf 0,703) und erhöhte den C2ST AUC (auf 0,567), was die Notwendigkeit der Closed-Loop-Validierung unterstreicht.
Effizienz: Das System läuft effektiv auf Consumer-Hardware (einzelne RTX 4080 SUPER) mit Laufzeiten von 41–52 Minuten, was zeigt, dass keine spezialisierte Infrastruktur erforderlich ist.

Bedeutung und Ansprüche

Die Arbeit behauptet, dass Ausführungsprotokolle implizit eine relationale Datenbank kodieren, die von einem latenten Zustandsautomaten gesteuert wird. Die Rekonstruktion dieser Struktur ermöglicht eine prinzipientreue Synthese synthetischer Daten, die sowohl robust als auch interpretierbar ist.

Die Autoren betonen, dass die Leistungssteigerungen nicht bloß auf der Verwendung größerer Sprachmodelle oder erhöhten Datenvolumens beruhen. Vielmehr resultieren die Verbesserungen aus der architektonischen Integration von Ausführungsparser, Zustandsentdeckung, Schema-Induktion und Constraint-bewusster relationaler Synthese innerhalb eines geschlossenen Multi-Agenten-Frameworks. Dieser Ansatz gewährleistet strukturelle Korrektheit und distributionale Realität und adresset die fundamentale Einschränkung bestehender Methoden, die die relationale und prozessebene-Struktur von Softwareausführungen ignorieren. Die Arbeit weist auf einen vielversprechenden Weg zur Generierung ausführungswahrnehmender synthetischer Daten hin, um die Anomalieerkennung in komplexen, verteilten Softwaresystemen zu verbessern.